Francia acusa a Irán de hackear refrigeradores: así funcionó el ataque

El lunes 9 de noviembre, el ministro de Relaciones Exteriores francés, Jean-Noël Barrot, puso nombre y apellido a uno de los episodios más extraños del año en ciberseguridad. “Puedo confirmar que este ataque fue llevado a cabo por el Cuerpo de la Guardia Revolucionaria Islámica de la República Islámica de Irán”, declaró. Lo calificó como el primer ciberataque de sabotaje a gran escala en territorio francés y anunció sanciones a nivel europeo. El embajador iraní fue citado a la cancillería este martes, y Barrot advirtió que Francia también podría responder con medidas cibernéticas propias.

En paralelo, la fiscal de París, Laure Beccuau, informó que abrió una investigación judicial por crimen organizado cibernético, con el agravante de haberse cometido en beneficio de una potencia extranjera. Los apuntados son el jefe de Shahid Kaveh y sus dos lugartenientes, contra quienes pidió órdenes de captura internacionales.

Pero la pregunta que quedaba abierta desde octubre era otra: ¿cómo se calienta a distancia el refrigerador de un supermercado? La respuesta tiene menos de película de espías de lo que parece.

El cerebro de la sala de frío

Un supermercado moderno tiene decenas de vitrinas, congeladores y cámaras frigoríficas. Ninguno funciona por su cuenta. Todos responden a un equipo central, una suerte de cerebro de la instalación, que fija temperaturas, programa los ciclos de descongelamiento, dispara alarmas y envía avisos por correo cuando algo falla.

En buena parte de Europa, ese cerebro lo fabrica Danfoss. Sus modelos de las series AK-SM y AK-SC -los que nombró la agencia francesa de ciberseguridad, ANSSI, en su alerta del 12 de octubre- incluyen una interfaz web para que las empresas de mantenimiento administren muchos locales sin moverse de la oficina.

En Francia, los supermercados suelen externalizar la refrigeración a terceros, así que muchas cadenas ni siquiera controlaban la seguridad de esos equipos.

Esa comodidad tuvo un costo. Miles de estos controladores quedaron conectados directamente a Internet, sin VPN ni red privada de por medio. El día después del ataque, el investigador Baptiste Robert, de Predicta Lab, contó 2.752 sistemas Danfoss expuestos, 1.590 de ellos en Francia. El buscador Shodan, que rastrea dispositivos conectados, registraba más de 4.500.

Una contraseña que es la fecha del día

Lo que había detrás de esas pantallas de inicio de sesión ya estaba documentado. En marzo de 2025, Danfoss publicó un aviso de seguridad sobre su gestor AK-SM 800A, a partir de una falla que le reportó Team82, el equipo de investigación de la firma Claroty. Con el tiempo, los investigadores documentaron tres fallas en total.

La primera, registrada como CVE-2025-41450, es la más llamativa: un mecanismo oculto de “código del día” que permitía saltarse la contraseña del administrador. El equipo genera cada día una clave de acceso a partir de su propia fecha. Team82 reconstruyó el algoritmo y comprobó que, con él, cualquiera podía obtener una sesión de administrador sin conocer la clave real. El experto británico Kevin Beaumont lo resumió en redes el mismo 12 de octubre: el usuario era “admin” y la contraseña cambiaba todos los días… a la fecha actual. Añadió que el proceso era fácil de automatizar con un script.

La segunda falla, CVE-2025-41451, permitía inyectar comandos del sistema operativo a través del campo de contraseña del correo de alarmas, lo que abre la puerta a ejecutar código a distancia. La tercera provocaba la caída de la interfaz de administración.

Danfoss corrigió los problemas en las versiones R4.2 y R4.3.1 de su firmware (esta última, de agosto de 2025). El problema es que buena parte de los equipos atacados en Francia nunca iban a recibir ese parche: según la empresa, eran modelos antiguos como el AK-SM 800, que dejó de tener soporte en mayo de 2021, y el AK-SC 355, retirado en 2016. Danfoss llevaba tiempo recomendando reemplazarlos.

Descongelar hasta quemar

Una vez adentro, los atacantes no necesitaron malware sofisticado. Usaron una función legítima del sistema: el descongelamiento automático, que en condiciones normales derrite la escarcha de los serpentines durante unos minutos. La orden fue mantenerlo encendido de forma indefinida, de noche, con los locales cerrados y las alarmas desactivadas.

El resultado se vio a la mañana siguiente. Tras seis horas de descongelamiento continuo, muchas vitrinas llegaron a 50 °C, y un supermercado en Normandía reportó equipos a 80 °C. En algunos locales el calor derritió componentes o provocó incendios, y los rociadores contra fuego terminaron de dañar lo que quedaba. Solo un Intermarché de Issy-les-Moulineaux botó varias toneladas de productos.

El golpe alcanzó a más de 300 tiendas de Intermarché y Netto, 80 de Coopérative U, 80 de Carrefour, una treintena de Monoprix y varios E.Leclerc. Las autoridades contabilizaron entre 15 y 20 incendios, según la fuente oficial.

La alerta de ANSSI mencionó además los supervisores XWEB de Copeland y su marca Dixell. Sin ir más lejos, Team82 había descrito en esa plataforma una falla de la misma familia: credenciales de administrador calculadas a partir de la fecha, la dirección MAC del equipo y claves escritas en el propio firmware.

Una segunda ola

El 2 de noviembre, el patrón se repitió en más de 100 supermercados de Bélgica, Luxemburgo, Suecia, Países Bajos, Irlanda, Estonia, Finlandia y Portugal, entre otros. La misma noche fueron atacados tres centros de almacenamiento del Établissement français du sang, el servicio nacional de sangre. Según el semanario Le Canard enchaîné, los atacantes configuraron los refrigeradores de plasma para llegar a 110 °C. El sistema de monitoreo dio aviso a tiempo y el personal alcanzó a intervenir. Su proveedor, Coolworld, atribuyó la vulnerabilidad a un componente fabricado por un tercero. Francia, por ahora, no ha incluido esta segunda ola en su acusación contra Irán.

Hay un antecedente que hoy se mira con otros ojos. En agosto, los congeladores de varias bases militares estadounidenses fallaron sin explicación y echaron a perder la comida. Según Reuters, los investigadores del Pentágono tratan esas fallas como un posible ciberataque y trabajan con las autoridades francesas, aunque Washington no ha hecho ninguna declaración oficial.

Las huellas de Teherán

Shahid Kaveh es un nombre conocido entre los analistas. La comunidad de ciberseguridad lo vincula con el grupo que se presenta como CyberAv3ngers -Microsoft lo rastrea como Storm-0784 y Mandiant como UNC5691-, dependiente del Comando Cibernético-Electrónico de la Guardia Revolucionaria. Un informe conjunto de los servicios de inteligencia y ciberseguridad franceses, publicado el mismo día, puso nombre a los responsables: Hamid Reza Lashgarian, a quien sitúa a la cabeza del Comando Cibernético-Electrónico, y Mahdi Lashgarian y Reza Salarvand, comandantes de Shahid Kaveh.

Su especialidad son los equipos industriales conectados a Internet con defensas débiles. A fines de 2023, las agencias de Estados Unidos lo culparon por intrusiones en controladores Unitronics usados en plantas de agua. En abril de este año, la agencia estadounidense CISA alertó que explotaba controladores Rockwell en infraestructura crítica. Y según el informe francés, en marzo y abril la unidad se adjudicó una campaña de sabotaje contra intereses israelíes y estadounidenses que incluyó equipos de refrigeración en Israel. La firma del ataque francés calza con ese historial: buscar aparatos expuestos, entrar por credenciales débiles y tocar el mundo físico.

Como pruebas, la fiscalía citó el uso del idioma persa y direcciones IP que conducen a terminales en Irán. El informe técnico sumó otras huellas. Los atacantes localizaron los controladores con Fofa, un buscador de dispositivos conectados a Internet parecido a Shodan, que la unidad usa habitualmente. Los mismos servidores del ataque se usaron en esas semanas para rastrear equipos industriales de Schneider Electric mediante el protocolo Modbus, una técnica que Shahid Kaveh emplea al menos desde abril. Hubo rastros en persa en la infraestructura, y CyberbanNews, un medio de propaganda ligado a la unidad, difundió el ataque desde el 13 de octubre. Según el informe, la misma operación apuntó también a equipos Schneider Electric de pequeñas centrales hidroeléctricas francesas, con efectos moderados. Aun así, la atribución de un ciberataque es un terreno resbaloso, porque los atacantes pueden ocultar su ubicación. Dos grupos hacktivistas alineados con Rusia se adjudicaron los ataques la semana pasada, pero pocos les creyeron.

El contexto ayuda a leer la acusación. Irán está en guerra con Estados Unidos e Israel desde el 28 de febrero, y el 1 de noviembre su cancillería declaró al MI6 británico “grupo hostil”. Un sabotaje barato, difícil de rastrear y con efecto visible en la vida diaria de los europeos encaja en esa lógica de presión.

Con todo, lo que más inquieta a los especialistas es lo poco que hizo falta. Ken Munro, de Pen Test Partners, comentó en octubre que la falla era tan fácil de explotar que el ataque podría haber sido obra de unos niños jugando. Richard Horne, director del Centro Nacional de Ciberseguridad británico, fue más lejos: dijo que esto es apenas el comienzo, porque la inteligencia artificial ya permite encontrar y abusar de fallas en tecnología antigua.

Acaso esa sea la imagen que deja el caso: la llave de cientos de supermercados estuvo todo este tiempo a la vista. Bastaba con saber qué día era.

El ataque